Сколько зависимостей у пакета и проекта на npm: четыре выборки и живые замеры

Это первое, что стоит знать, и это противоречит расхожему образу. Мы отобрали случайные пакеты через реплику реестра и посмотрели поле зависимостей у последней версии каждого. Четыре независимых выборки:

Четыре набора, взятые независимо, дают 49–56% пакетов вовсе без зависимостей и медиану ноль. Среднее около двух-трёх — но среднее здесь малоинформативно, потому что распределение крайне скошено: p90 равен семи, p99 — двадцати семи, а максимум в выборках доходил до 99 и 367.

И зависимостей не становится больше. В апрельском срезе 2018 года среднее число прямых зависимостей составляло 2,8. Реестр с тех пор вырос в 6,4 раза, а среднее осталось там же. Разработчики объявляют не больше, чем раньше.

Оговорки: выборка берётся по алфавитным префиксам, а не строго равновероятно, поэтому соседние по алфавиту имена — часто из одного спам-семейства — представлены избыточно. Считаются только dependencies, без разработческих и необязательных.

Это ловушка, на которой строится половина страшных цифр. Мы разрешили деревья через npm install --package-lock-only и сравнили с тем, что реально попадает на диск:

У TypeScript в дереве 21 пакет, а ставится 2 — завышение в десять с половиной раз. Причина: современные инструменты публикуют по одному бинарнику на платформу как необязательные зависимости, а материализуется ровно один. Утверждение «у TypeScript теперь двадцать зависимостей» неверно: на вашей машине у него одна.

И число пакетов не связано с местом на диске. next ставит 24 пакета и занимает 327 МБ; react-scripts ставит 1 292 и занимает 292 МБ. В пятьдесят четыре раза больше пакетов — и меньше места.

Мы собрали типовые проекты с нуля. Числа зависят от выбранных ключей, и это само по себе показательно:

Разброс между двумя сборками одного каркаса — 348 против 423 — напоминание, что «сколько зависимостей у Next.js» вопрос без единственного ответа: он зависит от того, какие опции вы выбрали при создании проекта.

Самое важное в этой таблице — не абсолютные числа, а состав. 87% дерева Next.js — это разработческие зависимости, то есть инструментарий сборки, который в продакшен не едет. Глубина распределена так: на первом уровне 10 пакетов, на втором 61, на третьем 118, на четвёртом 107, дальше по убывающей до девятого. Средняя глубина 3,78, медианная 4.

Академический замер по срезу сентября 2023 года независимо пришёл к тому же: уязвимые пакеты чаще всего лежат на четвёртом-шестом уровне.

Мы разрешили деревья исторических версий тех же пакетов:

Каждый достиг пика и с тех пор уменьшился. Современный каркас на Vite со своими 134 пакетами примерно вдесятеро легче сборки эпохи react-scripts.

Формулировка, которую данные поддерживают: «пик пройден в 2018–2020 годах, дальше консолидация на меньшем числе более крупных платформенных бинарников». Формулировку «раздувание всё хуже» данные не поддерживают.

Самая свежая из них — трёхлетней давности. Ни одного исследования графа зависимостей на срезе новее сентября 2023 года не существует, при том что реестр с апреля 2018-го вырос в 6,4 раза.

И критическая оговорка к цифре 94,7%: она посчитана только по рантайм-зависимостям, авторы прямо пишут, что разработческие и необязательные исключены. Поскольку в реальном дереве приложения разработческие составляют 87%, все такие оценки занижают то, чему разработчик доверяет на самом деле, почти на порядок.

«Средний проект npm тянет 79 транзитивных зависимостей». Здесь две ошибки сразу. Во-первых, это апрель 2018 года, а не 2025-й и не 2026-й. Во-вторых, 79 относится не к проекту, а к пакету: столько сторонних пакетов вы неявно начинаете доверять, устанавливая один средний пакет. Там же фигурирует и вторая величина, о которой почти не говорят, — 39 сопровождающих, то есть людей, которые могут этот код изменить. Её с 2018 года никто не перемерял.

«Проект на Next.js начинается с тысячи зависимостей». По нашему замеру — 404 в дереве и 348 установленных. Тысяча с лишним описывает эпоху react-scripts, снятого с поддержки в 2025 году.

«95% уязвимостей приходится на транзитивные зависимости». К npm это не прослеживается: ближайшее корректно измеренное — 94,7% рёбер графа зависимостей на срезе января 2020 года, а это совсем другая величина. Подробнее — в разборе цепочки поставок.

1. Считайте установленное, а не строки в замке́. Разница у TypeScript — в десять раз. npm ls --all показывает то, что реально на диске.
2. Смотрите на разработческие зависимости отдельно. Они дают 87% дерева и ноль в продакшене. Установка без них меняет картину радикально — и именно эта величина важна для оценки поверхности атаки в работающем приложении.
3. Считайте области имён, а не только пакеты. Число независимых сторон, которым вы доверяете, ближе к числу областей, чем к числу пакетов.
4. Не переносите цифры между «объявлено», «в дереве» и «установлено». Это три разные величины, и подмена одной другой — источник большинства пугающих заголовков в этой теме.

Источники: Zimmermann и др., USENIX Security 2019, Zerouali и др., EMSE 2022, Robinson и др., ASIA CCS 2026, реплика реестра npm.